CheckmarxCxEnterprise静态源代码安全漏洞和管理工具研讨会说课.ppt

Checkmarx CxEnterprise企业级源代码安全漏洞扫描分析和管理工具研讨会 会议主题 Checkmarx 中国公司介绍 Checkmarx CxEnterprise产品介绍和演示 产品概述 组件及架构 扫描原理 产品演示 产品功能及特性 软件安全出产品和咨询服务 Checkmarx 中国分公司介绍 主要业务范围：Checkmarx 中国分公司-为中国客户提供专业的软件安全方面的产品和咨询服务 ,帮助客户以尽量的低的开发成本高效地开发可靠的,安全的软件。 服务： 软件安全风险评估 软件安全风险消 软件安全培训和教育 软件安全生命开发周期SDL咨询 产品： Checkmarx CxEnterprise：企业级源代码安全漏洞扫描和分析管理工具 TeamMentor:软件开发团队安全开发指导系统。 Teamprofessor eLearning: 在线应用安全电子培训课程。 软件安全生命开发周期SDL咨询 需求收集 设计 开发 测试 部署 维护 架构和设计评估 代码安全审计 安全评估 部署安全审计 威胁建模 设计安全的应用 构建安全的应用 安全网络主机和应用 Checkmarx 在中国的部分客户 Checkmarx CxEnterprise源代码安全扫描和管理工具概述 Checkmarx CxEnterprise静态源代码安全漏洞扫描和管理工具是以色列Checkmarx 公司在分析全球静态分析技术的优缺点后,结合全球安全组织和安全专家多年的软件安全咨询的经验而研发出的新一代源代码安全扫描方案,旨在从根源上识别、跟踪和修复源代码的技术和逻辑上的安全缺陷。该方案独创以查询技术定位代码安全问题,克服了传统静态分析工具误报率（False Positive）高和漏报（False Negative）的缺陷. 主要提供的功能: 源代码安全漏洞的扫描、结果分析和管理 源代码技术和逻辑缺陷调查、分析及规则自定义。 扫描团队和用户权限管理 扫描自动化及任务调度管理 私有/公有虚拟云服务 版本 Checkmarx CxSuite Enterprise Edition(C/S)（企业级客户） Checkamrx CxSuite Enterprise Portal Base (B/S)（云服务） 15.04.2010???Checkmarx Named Cool Vendor by Leading Analyst Firm-Gartner Checkmarx Cxsuite其无与伦比的准确性和方便的企业部署和实施的特性赢得了全球众多客户的青睐。比如Salesforce.Com、道琼斯（新闻集团）、雅高、NDS公司、美国陆军、Amdocs等都在采用这种新一代的静态分析技术做源代码安全检测和风险评估。至今，Checkmarx的客户量数目庞大，其中包括涉及电信、金融银行、保险、汽车、媒体娱乐、软件、服务和军事等行业的财富1000的企业。2010年4月15日Checkmark被全球领先的行业分析公司Gartner评为“2010年度最酷应用安全供应商” “Checkmarx is the first code analysis company that can inspect and summarize application security risk quickly, non-intrusively and with tremendous accuracy 。” 摘自Gartner “ Cool Vendors in Application Security, 2010”报告。 Checkmarx CxEnterprise 的基本架构 Checkmarx CxEnterprise 产品的基本组件 CxScanEngine CxScanEngine安装在指定的服务器上，引擎服务负责扫描和查询的任务。 CxManager CxManager安装在指定的服务器上，负责管理用户、项目、扫描任务等。 CxManager 与 CxScanEngine 通信。 CxClient 轻量级的客户端组件，安装在客户端的机子上。 CxClient 通过WCF 与 CxManager 通信。 Checkmarx CxEnterprise 产品的基本组件 4. CxPortal Web Service ： Web services用于公司局域网或者外部网络采用web browser 或者IDE开发插件使用扫描服务。 5. Web浏览器、Eclipse和Visual Studio Plugin CxPortal客户